Шлюз интеграций on Alertix

Email

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки конфигурационных параметров почтового сервера в окне управления интеграциями выберите операцию "Email".

Подключение к почтовому серверу возможно только с использованием аутентификации, анонимное соединение SMTP не поддерживается.

Рисунок 1.

Установите переключатель Оповещение по e-mail в положение "Вкл." и заполните поля:

Сервер SMTP – адрес почтового сервера;
Порт подключения – порт SMTP открытый на почтовом сервере для приема сообщений;
Список оповещения по-умолчанию – перечень адресов электронной почты используемой Платформой, если не указан иной в соответствующих оповещениях;
Адрес отправителя – адрес электронной почты учетной записи отправителя (отображается в поле "от" в почтовых программах);
Пользователь – имя пользователя включая домен в формате user@domain.com, для которого предоставлена возможность подключения по SMTP на почтовом сервере;
Пароль – пароль пользователя;
Приватный ключ – поле для добавления файла приватного ключа;
Сертификат – поле для добавления файла SSL-сертификата.

Mon, 01 Jan 0001 00:00:00 +0000

Для возможности получения уведомлений в Telegram необходимо предварительно выполнить создание сервисного бота, получить токен API и идентификатор группы. Полная документация по созданию бота доступна на сайте производителя, далее по тексту приведена краткая выдержка.

Для создания бота необходимо написать сервисному боту @botFather

/start - для начала

/newbot - для начала создания бота

В процессе диалога задайте <название бота> и <Ник бота> без пробелов, обязательно заканчивающийся на "bot">. В ответе вы получите HTTP API токен, например: 1456119287:AAF-eFr0EO_BLmCwmVpguVLHPjnEfXrJoF0. Сохраните токен.

Max

Mon, 01 Jan 0001 00:00:00 +0000

Для возможности получения уведомлений в Max необходимо предварительно зарегистрироваться, создать и верифицировать профиль организации. Для прохождения верификации в мессенджере Max воспользуйтесь документацией на сайте производителя.

После создания и верификации организации на платформе MAX создайте чат-бота и получите токен. Инструкция по созданию чат-бота и получению токена для интеграции с другими платформами доступна по ссылке.

Для отправки сообщений в мессенджер Max в окне интеграций выберите операцию "Max". Установите переключатель Включить оповещение по Max в положение "Вкл." и заполните поля:

OTRS

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки подключения к Open-source Tiket Request System в окне интеграций выберите операцию "OTRS". Установите переключатель Оповещение по OTRS в положение "Вкл." и заполните поля:

Адрес сервера – название хоста, по которому производится обращение;
Порт сервера – порт для приема сообщений;
Пользователь – имя пользователя;
Пароль – пароль пользователя;
Имя клиентской очереди обработки – уникальное имя очереди для сообщений от клиента;
Идентификатор процесса обработки (Process ID) – уникальный ID процессной модели, по которой будет проходить инцидент;
Идентификатор действия по обработке (Activity ID) – уникальный ID стадии, на которую попадет инцидент;
Таймзона– часовой пояс по умолчанию.

TheHive

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки подключения к Security IRP TheHive необходимо предварительно выполнить следующие действия:

Зайти в учетную запись администратора инсталляции (admin@thehive.local).
Выбрать необходимую организацию.
Создать нового пользователя (на рисунке – “admin”).

Рисунок 1.
У необходимого пользователя создать токен доступа (API Key) путем нажатия на кнопку "Create API Key".

Рисунок 2.
Для просмотра уже созданного токена нажать кнопку "Reveal".

Рисунок 3.

Полная документация доступна по ссылке.

После этого в интерфейсе Платформы, в окне интеграций выберите операцию "TheHive". Установите переключатель Оповещение по TheHive в положение "Вкл." и заполните поля:

RVision

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки подключения к RVision IRP в окне интеграций выберите операцию "RVision". Установите переключатель Оповещение по RVision в положение "Вкл." и заполните поля:

Адрес сервера – название хоста, по которому производится обращение;
Порт сервера – порт для приема сообщений;
Токен (ключ) доступа API – токен API. Токен получить в соответствии с документацией RVision IRP;
Идентификатор компании – цифровой идентификатор компании, выданный администратором RVision.

Рисунок 1.

Для проверки возможности отправки нажмите "Протестировать".

Mattermost

Mon, 01 Jan 0001 00:00:00 +0000

Для отправки сообщений в мессенджер Mattermost в окне интеграций выберите операцию "Mattermost". Установите переключатель Оповещение по Mattermost в положение "Вкл." и заполните поля:

Адрес сервера – название хоста, по которому производится обращение;
Порт сервера – порт для приема сообщений;
Идентификатор канала – идентификатор канала Mattermost, в который будут отправляться сообщения;
Пользователь – имя пользователя;
Пароль – пароль пользователя.

Рисунок 1.

Для проверки возможности отправки нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".

Отправка уведомлений в файл

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки отправки уведомлений в файл в окне интеграций выберите операцию "Отправка в файлы". Установите переключатель Оповещение по File в положение "Вкл." и заполните поля:

Имя файла – имя файла, в который будут записываться уведомления о произошедших событиях при срабатывании соответствующих правил;
Формат временной метки – формат временной метки (timestamp), в котором будет отображаться дата и время о произошедшем событии.

Рисунок 1.

Для проверки возможности отправки нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить". Файл сохраняется в директорию /var/log/gateway.

MP SIEM

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с MP SIEM в окне интеграций выберите операцию "MP SIEM". Установите переключатель Включить интеграцию с MP SIEM в положение "Вкл." и заполните поля:

Адрес сервера – название хоста, по которому производится обращение;
Порт сервера – порт для приема сообщений;
Логин – имя пользователя;
Пароль – пароль пользователя;
Ключ доступа к приложению - секрет приложения.

Для синхронизации воркспейсов нажмите переключатель Синхронизировать воркспейсы в положение "Вкл." и укажите частоту обновления и порог риска, при превышении которого должны отправляться воркспейсы.

VirusTotal

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с VirusTotal в окне интеграций выберите операцию "VirusTotal". Установите переключатель Интеграция с VirusTotal в положение "Вкл." и заполните поле:

Токен (ключ) доступа API – токен API. Токен получить в соответствии с документацией VirusTotal.

Рисунок 1.

Для проверки соединения нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".

AbuseIPDB

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с AbuseIPDB в окне интеграций выберите операцию "AbuseIPDB". Установите переключатель Интеграция с AbuseIPDB в положение "Вкл." и заполните поле:

Токен (ключ) доступа API – токен API. Токен получить в соответствии с документацией AbuseIPDB.

Рисунок 1.

Для проверки соединения нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".

WHOIS

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с WHOIS в окне интеграций выберите операцию "WHOIS". Установите переключатель Интеграция с WHOIS в положение "Вкл." и сохраните.

Рисунок 1.

XSpider

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции в окне интеграций выберите операцию "XSpider". Установите переключатель Интеграция с XSpider в положение "Вкл." и заполните поля:

Способ сбора – тип транспорта для передачи данных от сканера (ftp, smb);
Формат – расширение (формат) отчетов об уязвимостях, которые обрабатывает сканер (mht, xml);
Хост – название хоста, по которому производится обращение;
Порт – порт для приема данных;
Логин – имя пользователя;
Пароль – пароль пользователя;
Каталог – название каталога, в котором содержатся отчеты об уязвимостях. Типы отчетов, которые могут быть проанализированы (профилей сканирования XSpider): "Инвентаризация" и "Сканирование по умолчанию").

RedCheck

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с RedCheck в окне интеграций выберите операцию "RedCheck". Установите переключатель Интеграция с RedCheck в положение "Вкл." и заполните поля:

СУБД – СУБД, содержащая данные от сканера;
Хост – название хоста, по которому производится обращение;
Порт – порт для приема данных;
Логин – имя пользователя;
Пароль – пароль пользователя.

Рисунок 1.

Для проверки соединения нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".

Для работы сканеров уязвимостей необходимо, чтобы в Платформе был установлен и сконфигурирован сервис Census.

Kaspersky Security Center

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции с KSC в окне интеграций выберите операцию "KSC". Установите переключатель Интеграция с KSC в положение "Вкл." и заполните поля:

СУБД – СУБД, содержащая данные от сканера;
Хост – название хоста, по которому производится обращение;
Порт – порт для приема данных;
Логин – имя пользователя;
Пароль – пароль пользователя.

Рисунок 1.

Для проверки соединения нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".

Для работы сканеров уязвимостей необходимо, чтобы в Платформе был установлен и сконфигурирован сервис Census.

БДУ ФСТЭК

Mon, 01 Jan 0001 00:00:00 +0000

Подключение к Банку данных угроз безопасности информации ФСТЭК используется для обогащения сведений об уязвимостях, загружаемых из сканеров уязвимостей. Это актуально для изолированных инсталляций. Для настройки интеграции с БДУ ФСТЭК в окне интеграций выберите операцию "БДУ ФСТЭК". Установите переключатель Интеграция с БДУ ФСТЭК в нужное положение и сохраните.

Рисунок 1.

Для интеграции с БДУ ФСТЭК необходимо, чтобы в Платформе был установлен и сконфигурирован сервис Census.

Конфигурация параметров сервиса

Mon, 01 Jan 0001 00:00:00 +0000

Для просмотра адреса компонента выберите операцию "Конфигурация".

В поле URL шлюза интеграций указан URL адрес расположения сервиса, заданный при его установке.

Установите уровень логирования событий о работе сервиса:

в положении "Выкл." запущен уровень логирования Info – информационные уведомления;
в положении "Вкл." запущен режим отладки Debug – отладочные события.

Рисунок 1.

Для сохранения изменений нажмите "Сохранить". Если адрес расположения сервиса изменился, необходимо выполнить удаление сервиса, а затем установить его заново, указав новый URL шлюза интеграций.

Удаление сервиса

Mon, 01 Jan 0001 00:00:00 +0000

Для удаления сервиса Gateway выберите операцию "Удаление" и нажмите кнопку "Удалить".

Рисунок 1.

Создается фоновая задача с именем: remove_<имя сервиса>_service_<доменное имя хоста>. Ход выполнения задачи можно наблюдать на странице "Задачи", доступной из раздела Мониторинг > Задачи.

Для очистки всех настроек интеграций из БД переведите переключатель Очистить настройки интеграций в положение "Вкл.".

Сканер-ВС

Mon, 01 Jan 0001 00:00:00 +0000

Для настройки интеграции со Сканер-ВС в окне интеграций выберите операцию "Сканер-ВС". Включите интеграцию и заполните поля:

Адрес сервера – название хоста, по которому производится обращение;
Порт сервера – порт для приема сообщений;
Пользователь – имя пользователя;
Пароль – пароль пользователя.

Рисунок 1.

Для проверки возможности отправки нажмите "Протестировать".

Для сохранения изменений нажмите "Сохранить".